CVE-2026-84218

Nome do Software Vulnerável e Versões Afetadas Jolokia (versões afetadas não especificadas)

Descrição A validação insuficiente de URLs de serviço JMX controladas pelo cliente na funcionalidade de proxy JSR-160 permite a evasão da lista de bloqueio existente. O proxy aceita um valor target.url de uma requisição POST do Jolokia e o encaminha para JMXServiceURL e JMXConnectorFactory para estabelecer a conexão JMX remota. Como a lista de bloqueio apenas rejeita URLs que correspondam a service:jmx:rmi:///jndi/ldap:.*, atacantes podem utilizar formas alternativas, incluindo esquemas ldaps:// ou URLs LDAP com um componente de host JMX não vazio. Isso pode forçar a JVM do agente Jolokia a realizar uma consulta JNDI (Java Naming and Directory Interface) em um endpoint LDAP controlado por um atacante, resultando potencialmente em server-side request forgery (SSRF), encaminhamento de credenciais JMX para o endpoint remoto e, possivelmente, execução remota de código.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.